행자부, ‘개인정보보호법’ 위반기업 실명 공개
7개 법 위반 기업에 총 1억 1,150만 원 과태료 부과

[보안뉴스 원병철 기자] 지난 번 방통위에 이어 이번엔 행정자치부가 위반기업을 공표하고 과태료를 부과했다. 행정자치부는 ‘개인정보보호법’ 위반 기업을 적극 공개한다는 원칙에 따라 7개 기업(기관)의 개인정보보호법 위반에 대한 행정처분 결과를 발표했다.

행정자치부는 인천국제공항공사 등 7개 기업 및 기관을 대상으로 현장 검사한 결과 안전성 확보 조치 불이행 등 개인정보보호법 위반 사실을 적발하고 총 1억 1,150만 원의 과태료를 부과했으며, 개인정보보호법 제66조에 따라 개인정보보호위원회의 심의·의결을 거쳐 위반기업의 실명과 행정처분 결과를 공표했다.

이번에 공표한 7개 기업(기관)은 의료법인 혜원의료재단, 인천국제공항공사, 남여주레저개발주식회사, 구로성심병원, 의료법인성화의료재단 대한병원, 의료법인양진의료재단 평택성모병원, 가천대의대부속 동인천길병원으로 과태료 부과 금액이 1천만 원 이상인 기업이다.

각 기업 및 기관별 개인정보보호법 위반사항을 보면, 인천국제공항공사는 인천국제공항을 운영·관리하는 공기업으로, 비행기 탑승객의 출국상황 관리를 목적으로 개인정보가 포함된 여객운송정보를 처리하면서 ①탑승객의 여권번호 등을 암호화하지 않은 채 보관했으며, ②통합여객 흐름관리 시스템에 대한 접속기록을 제대로 관리하지 않는 등 5건의 법 위반사항이 적발되어 과태료 2,400만 원을 부과받았다.

의료법인성화의료재단 대한병원은 ①홈페이지 탈퇴 회원의 개인정보를 파기하지 않은 채 보관하고 있었으며, ②주민등록번호를 저장할 때 암호화하지 않는 등 6건의 법위반 사항이 적발되어 과태료 2,050만 원이 부과됐다. 또한, 과태료 1,800만 원이 부과된 의료법인 양진의료재단 평택성모병원은 ①문자와 숫자를 조합한 비밀번호 작성규칙은 마련했으나 실제 적용을 하지 않았으며, ②개인정보 마케팅 활용에 대한 동의를 일반 개인정보 수집·이용에 대한 동의와 구분하지 않고 일괄로 받는 등 5건의 법 위반사항이 적발됐다.

이와 함께 구로성심병원은 ①주민등록번호를 업무용 컴퓨터에 저장할 때 암호화하지 않았고, ②의료정보관리 시스템에 비밀번호를 저장할 때도 암호화하지 않았으며, 접속기록을 관리하지도 않는 등 3건의 법 위반사항이 적발되어 과태료 1,300만 원이 부과됐다. 의료법인 혜원의료재단은 심장전문 병원으로 환자의 개인정보를 처리하면서 ①주민등록번호를 저장 및 전송할 때 암호화를 하지 않았으며, ②접속기록을 법령에서 정한 기간(6개월 이상)동안 보관하지 않은 사실이 적발되어 과태료 1,200만 원을 부과받았다.

남여주레저개발주식회사는 해킹에 의해 27만여 명의 개인정보(이름, 핸드폰 번호, 이메일 등)가 유출되었으나, ①유출사실을 정보주체에게 개별 통지하지 않았으며, ②인터넷 홈페이지 회원 가입을 통해 개인정보를 수집할 때 정보주체에게 알려야 하는 고지사항 중 ‘동의거부권 및 거부시 불이익 내용’을 누락하여 고지한 사실이 적발되어 과태료 1,200만 원이 부과됐다.

마지막으로 과태료 1,200만원이 부과된 가천대의대부속 동인천길병원은 ①비밀번호를 저장 및 전송할 때 암호화하지 않았으며, ②의료정보관리 시스템의 접속기록에 포함되어야 하는 ‘수행업무’ 항목을 누락한 채 관리하고 있는 사실이 드러났다.

한편, 행정처분 결과 공표제도는 개인정보보호법 위반에 대한 행정처분 결과를 공개해 경각심을 고취하고, 유사사례 발생을 막기 위해 지난 2011년 도입된 제도로, 이번 발표 전까지 6개 업체를 공표한 바 있다.

김성렬 행정자치부 차관은 ‘개인정보보호법 위반 기관 및 기업의 행정처분 결과 공표’에 대해 “개인정보를 관리하는 기업들이 보다 세심하게 개인정보를 관리하도록 하기 위한 조치이며, 앞으로도 국민들의 소중한 개인정보가 안전하게 보호될 수 있도록 법을 위반한 기업, 기관에 대해서는 공표 요건에 해당될 경우 예외 없이 공표해 나갈 것”이라고 밝혔다.
[원병철 기자(boanone@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>